Route objekty v IRR a RADb: proč se prefix filtruje

Route objekt je veřejný záznam, který říká, které číslo AS smí prefix originovat. Upstreamoví poskytovatelé z těchto záznamů sestavují filtry na vaší BGP session, takže prefix bez něj se často zahodí dřív, než se vůbec dostane do širšího internetu, i když je jeho ROA bezchybná. RPKI routovací registry nenahradilo; většina sítí stále používá obojí.

Co je route objekt

Routovací registry (IRR) uchovávají objekty v jednoduchém textovém formátu. Pro announcement je důležitý objekt route:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Spojuje jeden prefix s jedním originujícím AS. Pokud je blok announcovaný ze dvou ASN, potřebuje dva route objekty.

Kde jsou uloženy

• RIPE Database je registr pro prostor v servisním regionu RIPE NCC a route objekty pro tento prostor patří tam. K vytvoření je potřeba oprávnění držitele adresního prostoru, takže cizí člověk váš blok zaregistrovat nemůže.
• ARIN a APNIC provozují registry pro svůj vlastní prostor: ARIN v rámci ARIN Online, pro prostor pod smlouvou s ARIN, a APNIC ve své Whois Database (ARIN, APNIC).
• RADb, provozovaný neziskovou organizací Merit, je předplatitelský registr s objekty pro prostor z libovolného regionu. Mnoho sítí se ho dotazuje vedle regionálních registrů, a proto se objevuje v tolika nastaveních a proto stojí za to zkontrolovat, co o vašem bloku uvádí.

Jak je používá váš upstream

Většina poskytovatelů rozvine to, co smíte posílat, automaticky z registrů do seznamu prefixů: vyhledá se vaše číslo AS nebo as-set, který uvádí vaše AS a AS vašich zákazníků, a každý route objekt s odpovídajícím originem se stane položkou ve filtru na vaší session. Dělají to nástroje jako bgpq4:

bgpq4 -4 -l allowed AS64500

Pokud seznam, který vypíše, váš prefix neobsahuje, nebude ho obsahovat ani filtr vašeho upstreamu. Filtry se často přestavují jednou denně, takže nový route objekt může začít platit až za tak dlouho.

Kontrola toho, co registry uvádějí

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Hledáte tři věci: route objekt s vaším originujícím AS, žádné zapomenuté route objekty pro ASN, které blok už neannouncuje, a stejný obraz v regionálním registru i v RADb.

Chyby, kvůli kterým se prefix filtruje

• Žádný route objekt. Nejčastější chyba a důvod, proč nový pronájem nebo nový upstream první den „nefunguje“.
• Špatný origin. Objekt uvádí ASN předchozího uživatele, nebo ASN vašeho poskytovatele, když blok announcujete sami.
• Ponechané staré objekty. Umožňují filtrům někoho jiného přijímat announcementy vašeho bloku z ASN, které by je už posílat nemělo. Odstraňte je, když pronájem skončí nebo se změní poskytovatel.
• Úpravy, které za vás dělá poskytovatel. V rámci BYOIP někteří poskytovatelé route objekt vytvářejí sami; například AWS aktualizuje RADb sama a uvádí, že ruční změny s jejím ASN způsobí selhání zřízení (AWS BYOIP).

Route objekty a RPKI společně

ROA a route objekt popisují totéž, prefix a AS, který ho smí originovat, pro dva druhy kontroly. Udržujte je v souladu: při každé změně originu změňte obojí ve stejném okně a obojí zkontrolujte zvenčí vlastní sítě (RPKI a ROA).

Kde se uplatní RTM Networks

U prostoru pronajatého od nás vytvoříme jako součást pronájmu route objekt pro vaše ASN nebo ASN vašeho poskytovatele, spolu s ROA a, kdykoli ho potřebujete, Letter of Authorization, a po skončení pronájmu je odstraníme (pronájem IPv4).